内部統制システムとは何ですか？

質問

回答

内部統制システムを検証する目的

公認会計士による会計監査では、原則として監査手続を試査（しさ）で行わなければならないと監査基準に定められています。

試査とは、全ての取引から一定の方法・基準で取引を選定し、選定した取引にのみ手続を実施するという手法です。つまり、全ての取引（全部の仕訳）を漏れなくチェックすることは通常行いません。

試査で監査を行うためには、会社の事業環境が良好で、各業務で適切なチェックが行われており社内で誤りを検出・修正できることが前提となります。この前提条件が満たされているかどうかを確かめるために内部統制システムを検証します。

仮に内部統制システムが著しく有効でない場合には、試査の範囲が拡大されたり、監査手続の実施が不可能と判断される場合には監査契約の解除となることがあります。

内部統制システムの構成要素

内部統制システムは①統制環境、②企業のリスク評価プロセス、③内部統制システムを監視する企業のプロセス、④情報システムと伝達、⑤統制環境、の5つの要素から構成されます。

統制環境

内部統制システムがどのような環境に置かれているかを理解し、評価します。

（監査人が理解をすること）
・経営者の誠実性や経営に対する姿勢
・監査役等がいる場合には監査役等の監視状況
・職務権限・職務分掌の状況
・有能な人材の確保
・内部統制システムを遂行する役職員に対し自身の役割をどのように認識させているか

（監査人が評価をすること）
・経営者が良好な企業文化を作り、維持しているかどうか。
・統制環境は企業の規模や複雑性に合っているか。
・統制環境に不備がある場合に、他の内部統制システムの構成要素が損なわれていないか

（作成される監査調書）
日本公認会計士協会（JICPA）が公表している「監査ツール」の【様式3-9】（統制環境）に理解した内容と評価を記録します。

企業のリスク評価プロセス

企業がどのように事業上のリスクを識別・評価・対処しているかを理解・評価します。

（監査人が理解をすること）
・財務報告に影響を及ぼす事業上のリスクを識別できているか
・リスクの重要度、発生可能性を評価できているか
・リスクへの対処は行われているか
→会計監査では財務報告に影響を及ぼす事業上のリスクに着目します。企業の全てのリスクについて検討するものではありません。

（監査人が評価をすること）
・企業のリスク評価プロセスが、規模や複雑性に合っているか。
→経営者が識別していないリスク（財務報告に影響を及ぼす重要なリスク＝重要な虚偽表示リスク）を監査人が識別した場合には、経営者が識別できなかった原因を理解し、リスク評価プロセスが適切かどうかの評価に反映させます。

（作成される監査調書）
日本公認会計士協会（JICPA）が公表している「監査ツール」の【様式3-9】（リスク評価プロセス）に理解した内容と評価を記録します。

内部統制システムを監視する企業のプロセス

財務諸表の作成に影響を及ぼす内部統制システムを、企業がどのように監視しているか理解します。

（監査人が理解をすること）
・内部統制を監視し、不備の発見や不備の是正を日常的にどのように評価しているか。
・内部監査機能がある場合には、内部監査昨日の責任と活動内容
・内部統制を監視するために利用される情報はどこから入手しているか、またその情報を信頼できる理由

（監査人が評価をすること）
・内部統制システムを監視する企業のプロセスが、規模や複雑性に合っているか。

（作成される監査調書）
日本公認会計士協会（JICPA）が公表している「監査ツール」の【様式3-9】（監視活動）に理解した内容と評価を記録します。

情報システムと伝達

財務諸表の作成に関する企業の情報システムと、情報システムを通じてどのように情報が伝達されるかを理解します。タイトルからは分かりにくいですが、監査人は①情報システムの理解と②情報がどのように伝達されているかの理解を行います。

（監査人が理解をすること）
・重要な取引種類、勘定残高又は注記事項に関連する情報システムの概要、および情報がどのように処理されるか（取引が開始され、情報が記録、処理、修正、総勘定元帳に記帳され、財務諸表での報告に至るまでの流れ）
・財務諸表を作成するプロセス（注記事項を含む）
・財務諸表の作成に係る重要な事項等について、企業がどのように内外に伝達しているか（内部だけではない）。

（監査人が評価をすること）
・企業の情報システムと伝達が、財務諸表の作成を適切に支援しているかどうか。

（作成される監査調書）
日本公認会計士協会（JICPA）が公表している「監査ツール」の【様式3-9】（情報システムと伝達）に理解した内容と評価を記録します。

財務諸表作成プロセスについては、「監査ツール」の【様式3-10】に理解した内容と評価を記録します。

統制活動

実際に業務として行われるチェック体制のことです。例えば、承認や検証（ダブルチェック）、職務の分離などがあります。

（監査人が理解をすること）
・統制活動のうち、アサーション・レベルの重要な虚偽表示リスクに対応する内部統制の識別（例えば現金を不正に持ち出すリスクに対して、毎日の現金実査や金庫への保管等の内部統制があるか、など）
・上記で識別した内部統制について、関連するIT環境（情報システム）とITの利用から生じるリスクの内容

（監査人が評価をすること）
・統制活動として行われている内部統制が、リスクに対応できるようにデザインされているか。
・当該内部統制が実際に業務として行われているか。

（作成される監査調書）
日本公認会計士協会（JICPA）が公表している「監査ツール」の【様式6】に理解した内容と評価を記録します。

内部統制システムに不備が検出された場合

内部統制の不備とは、①内部統制が存在しない、②規則で定められた内部統制が業務として実施されていない（部長が承認をすることになっているが承認をしていない）、③業務として実施されているが実施方法に誤りがある（部長が承認をすることになっているが課長が承認を行なっている）といった、内部統制の欠如と適用方法の誤りがあります。

監査人は発見した不備を【様式3-9】（不備）に集約し、不備が重要かどうか、不備によりこの後の手続を変える必要があるか（試査の範囲を拡大するか）を検討します。

また、重要な不備は経営者や監査役、その他適切な役職の者に報告をします。